नेटवर्क एनालाइज़र के लिए प्रदर्शन फ़िल्टर

1. फ़िल्टर प्रदर्शित करें

ट्रैफ़िक विश्लेषक एक नेटवर्क व्यवस्थापक के जीवन में एक उपयोगी और प्रभावी उपकरण है, वे आपको नेटवर्क पर वास्तव में "देखने" की अनुमति देते हैं, जो विभिन्न समस्याओं के निदान या कुछ प्रोटोकॉल और प्रौद्योगिकियों के संचालन के सिद्धांतों के अध्ययन को सरल बनाता है।
हालांकि, नेटवर्क पर अक्सर बहुत सारे डेटा ब्लॉक प्रसारित किए जाते हैं, और यदि आप नेटवर्क इंटरफ़ेस से गुजरने वाली हर चीज को प्रदर्शित करने के लिए मजबूर करते हैं, तो यह बताना कि वास्तव में क्या जरूरी है, समस्याग्रस्त हो सकती है।
इस समस्या को हल करने के लिए, ट्रैफ़िक विश्लेषणकर्ताओं ने ऐसे फ़िल्टर लागू किए हैं जो दो प्रकारों में विभाजित हैं: फ़िल्टर फ़िल्टर और प्रदर्शन फ़िल्टर। पिछली बार हमने कैप्चर फ़िल्टर को देखा था। आज हम दूसरे प्रकार के फिल्टर - डिस्प्ले फिल्टर के बारे में बात करेंगे।
फ़िल्टर प्रदर्शित करें, यह एक प्रकार का फ़िल्टर है जो आपको केवल उन्हीं फ़्रेमों को प्रदर्शित करने की अनुमति देता है जिनकी फ़िलहाल आवश्यकता होती है (विशिष्ट प्रोटोकॉल और / या होस्ट से), अस्थायी रूप से अन्य सभी को छिपाते हैं।
डिस्प्ले फिल्टर लिखने के नियम कैप्चर फिल्टर लिखने के नियमों से अलग हैं। अंतर इतने बड़े नहीं हैं, लेकिन आमतौर पर पर्याप्त हैं ताकि कैप्चर फ़िल्टर नियम बिना किसी बदलाव के काम नहीं करेगा, जो डिस्प्ले फ़िल्टर के रूप में लागू होगा।

2. प्रदर्शन फिल्टर का सिंटैक्स

डिस्प्ले फ़िल्टर की अभिव्यक्ति में विशेष प्राइमेटिक्स का एक सेट होता है जो तथाकथित क्लासिफायरियर और ऑब्जेक्ट आइडेंटिफ़ायर (पते, नेटवर्क ऑब्जेक्ट्स, पोर्ट नंबर) से निर्मित होते हैं।

ध्यान दें : सभी क्लासिफायर केस-संवेदी हैं और केवल छोटे अक्षरों में लिखे जाने चाहिए।

डिस्प्ले फ़िल्टर में क्लासिफायर को प्रकारों में विभाजित नहीं किया गया है; वे उन कीवर्ड का उपयोग करते हैं जो ओएसआई मॉडल के विभिन्न स्तरों के प्रोटोकॉल के अनुरूप हैं। क्लासिफायर का उपयोग करने का सबसे सरल उदाहरण प्रोटोकॉल (आईपी, डीएनएस, एआरपी, आदि) का नाम है, जिसे दर्ज करके एक प्रदर्शन फिल्टर के रूप में हम प्रोग्राम को केवल उन फ़्रेमों को स्क्रीन पर छोड़ने के लिए मजबूर करते हैं जिनमें निर्दिष्ट प्रोटोकॉल होते हैं। यह याद रखना चाहिए कि सभी कैप्चर किए गए फ़्रेम रैम में आते हैं, और डिस्प्ले फ़िल्टर को रद्द करके आप विश्लेषक द्वारा कैप्चर किए गए सभी कार्ड (जो सभी कैप्चर फ़िल्टर पारित कर सकते हैं) देख सकते हैं।
प्रदर्शन फिल्टर के बीच एक अंतर यह है कि आप प्रोटोकॉल नाम के बाद इस पैरामीटर के नाम को इंगित करके कुछ प्रोटोकॉल मापदंडों तक पहुंच सकते हैं, उदाहरण के लिए:

• ip.dst
• frame.pkt_len
• tcp.port

और वास्तव में, अक्सर, एक प्रदर्शन फ़िल्टर लिखना उस प्रोटोकॉल के लिए सही प्रोटोकॉल नाम या पैरामीटर खोजने के लिए नीचे आता है।
फ़ील्ड मानों की तुलना करने के लिए, तुलना ऑपरेटरों का उपयोग किया जाता है:

• eq, == - समकक्ष (बराबर)
• ne; = = समतुल्य नहीं (समान नहीं)
• जीईटी,> - अधिक
• लेफ्टिनेंट, < - कम
• ge,> = - से बड़ा या बराबर
• ले, <= - से कम या इसके बराबर

सभी प्रोटोकॉल पैरामीटर (पहचानकर्ता) टाइप किए जाते हैं और किसी विशेष प्रोटोकॉल के विशिष्ट पैरामीटर पर निर्भर करते हैं।
मान्य पहचानकर्ता प्रकारों की सूची इस प्रकार है:

• अहस्ताक्षरित पूर्णांक, 8, 16, 24, या 32 बिट मान की अनुमति है
• हस्ताक्षरित पूर्णांक (संख्या), 8, 16, 24 या 32 बिट मान की अनुमति है
• तार्किक (बुलियन)
• ईथरनेट पता, 6 बाइट्स
• बाइट स्ट्रिंग, बाइट्स की मनमानी संख्या
• IPv4 पता, 4 बाइट्स
• IPv6 पता, 16 बाइट्स
• IPX नेटवर्क नंबर, 4 बाइट्स
• स्ट्रिंग (स्ट्रिंग), वर्णों की एक मनमानी संख्या
• डबल-सटीक फ़्लोटिंग पॉइंट नंबर, 8 बाइट्स

पूर्णांक या पते को दशमलव या षोडश आधारी प्रारूप में दर्शाया जा सकता है:

• फ़्रेम। pkt_len> 10 फ़्रेम के बराबर है। pkt_len> 0xA
• ip.src == 192.168.1.1 ip.src == 0xC0 के बराबर है । 0xA8.0x1.0x1

बूलियंस के लिए, सच 1 के बराबर है और गलत 0 के बराबर है।
हार्डवेयर पतों में, संख्याओं को कॉलनों (:), अवधियों (।), डैश (-) द्वारा अलग किया जा सकता है।

• eth.src == आ-आ-आ-आ-आ-आ
• eth.src == आः आः आः आः आः आः आः

आईपी ​​पते, साथ ही संख्याओं की तुलना एक दूसरे के साथ की जा सकती है, जैसे कि तुलना ऑपरेटर ईक , ने , जीईएस , जीई , एलटी , ले ।
संख्यात्मक पतों के बजाय, आप प्रतीकात्मक पतों को होस्ट पतों के रूप में उपयोग कर सकते हैं, लेकिन एक सुलभ नाम रिज़ॉल्यूशन सेवा की आवश्यकता है:

• ip.dst eq www.habrahabr.ru
• ip.src == 192.168.1.1

नेटवर्क का वर्णन करते समय, आप मास्क का एक छोटा संस्करण लागू कर सकते हैं, आप मास्क को प्रतीकात्मक पते पर भी लगा सकते हैं:

• ip.addr == 172.16.0.0/16
• ip.addr eq सर्वर / 24

प्रदर्शन फिल्टर प्रोटो [ ऑफसेट : आकार ] आदिम, साथ ही कैप्चर फ़िल्टर के साथ काम कर सकता है, लेकिन इसका उपयोग करने के कुछ अंतर हैं:

• जैसा कि कैप्चर फिल्टर्स में, आदिम में आप ऑफसेट फ़ील्ड के प्रोटो [ ऑफसेट : आकार ] के नकारात्मक मानों का उपयोग कर सकते हैं, लेकिन इस मामले में फ्रेम के अंत से निर्दिष्ट बाइट संख्या को हाइलाइट किया जाता है, न कि पिछले हेडर के बाइट्स को। आप ब्याज की बाइट संख्या को भी सूचीबद्ध कर सकते हैं, प्रोटो [ ऑफसेट :] और प्रोटो [: आकार ] का उपयोग करते हैं।
• बिट डेटा, तार्किक या अंकगणितीय ऑपरेशनों को प्रोटो [ ऑफसेट : आकार ] आदिम का उपयोग करके प्राप्त डेटा पर लागू नहीं किया जा सकता है
• प्रोटो [ ऑफसेट : आकार ] का उपयोग करके प्राप्त डेटा को हेक्साडेसिमल में दर्शाया गया है।

उन्नत प्रदर्शन फिल्टर में प्रोटो [ ऑफसेट : आकार ] का उपयोग करने के उदाहरण:

• eth.src [0: 3] == AA: BB: CC - हेडर मैच के पहले तीन बाइट्स (प्राप्तकर्ता के मैक पते में OUI फ़ील्ड) की जाँच करें।
• फ्रेम [-4: 4] == AA.BB.CC.DD - फ्रेम के अंतिम चार बाइट्स की जाँच करें।
• प्रोटो [1,3-5,9:] == 01: 03: 04: 05: 09: 0 ए - एक प्रोटोकॉल के हेडर के 1, 3-5, 9 बाइट्स।
• eth.src [1-2] == AA: BB - अनुपालन के लिए हेडर फ़ील्ड के दूसरे और तीसरे बाइट्स की जाँच करें ( eth.src [1: 2] == AA: BB ) के बराबर।
• eth.src [: 4] == AA: BB: CC: DD - अनुपालन के लिए हेडर फ़ील्ड के पहले चार बाइट्स की जाँच करें ( eth.src (0: 4] == AA: BB: CC: CC: DD ) के बराबर)।
• eth.src [4:] == 55:66 - हेडर फ़ील्ड के सभी बाइट्स की जांच करें, अनुपालन के लिए पांचवें से शुरू।

सभी नियमों को तार्किक संयोजकों के साथ जोड़ा जा सकता है:

• और, && - तार्किक "और"
• या, || - तार्किक "या"
• xor, ^ ^ - तार्किक "विशेष या"
• नहीं ,! - उलटा, तार्किक "नहीं"

उदाहरण के लिए:

• tcp.port == 110 और ip.src == 192.168.2.100 - प्रेषक का आईपी पता 192.168.2.100 है, टीसीपी प्रोटोकॉल और पोर्ट 110 का उपयोग किया जाता है (यह कोई फर्क नहीं पड़ता, प्रेषक या प्राप्तकर्ता का बंदरगाह)
• यूडीपी नहीं - यूडीपी डेटाग्राम को छोड़कर सब कुछ

इन ऑपरेशनों की प्राथमिकता निम्नानुसार है:

• उलटा ऑपरेशन की सर्वोच्च प्राथमिकता है
• तब तार्किक "और"
• सबसे कम प्राथमिकता "ओआर" और "एक्सक्लूसिव ओआर" को दी जाती है।

सामान्य गणितीय अभिव्यक्तियों में, कोष्ठक () का उपयोग करके प्राथमिकता को बदला जा सकता है, जिसमें पहले कार्य किए जाते हैं।

ध्यान दें :
डुप्लिकेट फ़ील्ड के लिए आवश्यकताओं का वर्णन करने वाले फ़िल्टर, उदाहरण के लिए, IP पते, स्वरूपण करते समय आपको सावधान रहना चाहिए क्योंकि IP शीर्ष लेख में, IP पता दो बार दिखाई देता है - प्रेषक का पता और प्राप्तकर्ता का पता। निम्नलिखित दो फ़िल्टर, स्पष्टता के बावजूद, अलग तरह से काम करेंगे:
ip.addr ne 1.1.1.1
नहीं ip.addr eq 1.1.1.1
पहले फ़िल्टर का अर्थ है "सभी फ़्रेम दिखाएं जिसमें आईपी पैकेट हेडर का पता 1.1.1.1 से अलग है" और परिणामस्वरूप, यदि प्रेषक या प्राप्तकर्ता का पता अलग है, तो इस तरह के हेडर वाले फ्रेम को प्रदर्शित किया जाएगा, इस तथ्य के बावजूद कि दूसरा पता 1.1.1.1 के समान हो सकता है।
दूसरे विकल्प का अर्थ है "सभी फ़्रेम दिखाएं जिसमें आईपी पैकेट हेडर में पता 1.1.1.1 नहीं है", इसलिए फ़्रेम को प्रदर्शित करने के लिए, यह आवश्यक है कि आईपी हेडर मैच 1.1.1.1 में न तो प्रेषक का पता और न ही प्राप्तकर्ता का पता।

आपको उन नियमों में भी सावधानी बरतनी चाहिए जो कुछ पैकेजों को बाहर करते हैं। उदाहरण के लिए, हम प्राप्तकर्ता के आईपी पते के रूप में 1.1.1.1 के अलावा किसी भी पते को प्रदर्शित करने वाले सभी फ़्रेमों को बाहर करना चाहते हैं। यदि आप निम्नलिखित फ़िल्टर लागू करते हैं:
ip.dst ne 1.1.1.1
तब सभी फ़्रेमों में प्राप्तकर्ता का यह आईपी पता नहीं होता है, साथ ही उन फ़्रेम जिसमें यह मौजूद नहीं हो सकता है (उदाहरण के लिए, एआरपी), को कैप्चर से हटा दिया जाएगा। यदि हमें गैर-आईपी ट्रैफ़िक की आवश्यकता है, तो हमें इस पर फ़िल्टर ठीक करने की आवश्यकता है:
ip या ip.dst ne 1.1.1.1 नहीं

3. प्रोटोकॉल और उनके मापदंडों की सूची

प्रदर्शन फिल्टर लिखने के लिए बुनियादी नियमों का अध्ययन करने के बाद, यह केवल यह पता लगाना है कि समर्थित प्रोटोकॉल की सूची कहां से और मापदंडों से मिली है। प्रोटोकॉल और उनके मापदंडों की सूची काफी व्यापक है और इसे यहां लाने का कोई मतलब नहीं है, यह वेबसाइट wirehark.org पर लिंक पर पाया जा सकता है

एक अच्छी सूंघ लो)